PT-2026-31783 · Httpx+1 · Httpx+1

Publicado 2026-04-09 · Atualizado 2026-04-10 · CVE-2026-40114

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions PraisonAI versões anteriores a 4.5.128

Description PraisonAI é um sistema de equipes multiagentes. O endpoint /api/v1/runs aceita um webhook url arbitrário no corpo da requisição sem validação de URL. Ao concluir um trabalho (sucesso ou falha), o servidor envia uma requisição HTTP POST para esta URL usando httpx.AsyncClient. Isso permite que um invasor não autenticado faça com que o servidor envie requisições POST para destinos internos ou externos arbitrários, potencialmente habilitando a falsificação de requisição do lado do servidor (SSRF) contra serviços de metadados de nuvem, APIs internas e outros serviços adjacentes à rede.

Recommendations Atualize o PraisonAI para a versão 4.5.128 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-40114

GHSA-8FRJ-8Q3M-XHGM

Produtos afetados

Praisonai

Httpx

Referências · 8

• https://github.com/MervinPraison/PraisonAI · Nota
• https://github.com/MervinPraison/PraisonAI/releases/tag/v4.5.128 · Nota
• https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-8frj-8q3m-xhgm · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8frj-8q3m-xhgm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2042561841432531320 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2042428655788343313 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2042562321315213453 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40114 · Nota de Segurança